AVATAR Project

April 2026: New EDPB Guidelines on the Processing of Personal Data

New EDPB Guidelines on the Processing of Personal Data

The EDPB (European Data Protection Board) adopted new guidelines in April on the processing of personal data for scientific research purposes. Liebenstein Law assesses the significance of these new guidelines for the AVATAR-Transfer project.Health data can significantly advance research, healthcare, and medical technology. At the same time, it is among the most sensitive categories of personal data. AVATAR-Transfer addresses this issue by examining how health data can be made usable in compliance with data protection requirements through anonymisation, synthetic data, and other methods.
The EDPB Guidelines 1/2026 on the processing of personal data for scientific research purposes provide new guidance. The consultation period for the guidelines currently runs until 25 June 2026. Accordingly, the EDPB can respond to stakeholder comments and make final adjustments to the guidelines.Based on the current status, three questions are central to AVATAR-Transfer in connection with the version of the guidelines published to date: What constitutes scientific research? When may existing health data be reused for new research questions? What safeguards are necessary for the responsible use of sensitive data?

1. The Definition of Research as the Starting Point of the Guidelines

The EDPB Guidelines 1/2026 do not amend the GDPR but, for the first time, provide specific clarification on how personal data may be processed for scientific research purposes.² For AVATAR-Transfer, it is crucial that the EDPB adopts a broad understanding of research, encompassing technological development, demonstration projects, applied research, privately funded research, and research in the public health interest.³
At the same time, the EDPB makes clear that not every data-driven product development activity or commercial use of data constitutes research. The GDPR's research-related flexibilities apply only to genuine scientific research.
Whether an activity qualifies as such must be determined on the basis of six guiding indicators: a methodological and systematic approach; compliance with ethical standards; verifiability and transparency; the autonomy and qualifications of the researchers; a contribution to the advancement of knowledge and societal well-being; and the potential to expand existing knowledge or apply it in novel ways.⁴
The key new development is therefore greater legal certainty, particularly for application-oriented, technical, and transfer-focused projects. This is beneficial for AVATAR-Transfer because not only medical use cases but also the development and validation of anonymisation, data synthesis, privacy-utility metrics, re-identification analyses, federated learning, and homomorphic processing can be classified as scientific research activities.
However, each transfer case should briefly document the research question, methodology, ethical requirements, verifiability, qualifications, and expected contribution to the advancement of knowledge.
For use cases closely linked to commercial activities, the distinction from product development remains central. Treatment outcome predictions, ophthalmological rehabilitation, biosignal analysis, and genomic data anonymisation can generally be justified as research-related activities. Post-market surveillance, by contrast, qualifies as research only if new privacy-preserving methods for anonymising, encrypting, or statistically analysing PMS data are developed or validated. Mere market surveillance is not sufficient.

2. Research Data Infrastructures and Preparatory Processing Steps

Another new development of particular importance for AVATAR-Transfer is that the guidelines cover not only individual research projects but also research data infrastructures, repositories, databases, and preparatory processing steps. This means that data curation, categorisation, pseudonymisation, anonymisation, and data provision can also serve scientific research purposes, provided they are linked to a clearly defined research objective.⁵
For AVATAR-Transfer, this means that not only the medical use cases but also the platform architecture, anonymisation services, privacy-utility evaluation, re-identification analysis, and data synthesis can be legally classified as components of scientific research.

3. Secondary Use of Scientific Research Data

The clarification regarding secondary use is also significant. The further processing of personal data for scientific research purposes is generally considered compatible with the original purpose. In such cases, an additional compatibility assessment under Article 6(4) GDPR is not required.
This flexibility is central to health data spaces and the secondary use of data. However, it does not mean that processing is automatically lawful. Even in scientific research, every processing activity involving personal data requires a legal basis under Article 6 GDPR. For health data, genetic data, or biometric data, an additional exception under Article 9(2) GDPR is required.
Accordingly, within the AVATAR-Transfer project, the origin of the data, the purpose for which they were originally collected, the new research question being pursued, and the applicable legal basis should be documented for every data flow.⁶

4. Section 6 GDNG and Article 9(2)(j) GDPR: The Definition of Research as a Key Link

Article 9(2)(j) GDPR permits the processing of health data for scientific research purposes only on the basis of Union or Member State law and subject to the safeguards set out in Article 89(1) GDPR. Section 6 GDNG is one such national provision for healthcare institutions processing data.
Lawfully stored healthcare data may, in particular, be further processed for medical, rehabilitative, and nursing research, provided that such processing is necessary and the statutory safeguards are observed. These include, in particular, pseudonymisation, anonymisation at the earliest possible stage, access rights and role-based access control, logging, and transparency towards the data subjects concerned.⁷
The connection with the new EDPB guidelines lies in the definition of research. For AVATAR-Transfer, this means that Section 6 GDNG and Article 9(2)(j) GDPR cannot serve as a legal basis for using health data for arbitrary technical or commercial purposes.
However, they become relevant where the processing is demonstrably embedded in a scientific research design, for example for the development, validation, or evaluation of anonymisation, synthetic data, re-identification analyses, or other privacy-preserving methods. The respective use case should therefore briefly document the research question being pursued, why the data processing is necessary, and which safeguards are being applied.⁸

5. Article 89 Safeguards: Anonymisation, Pseudonymisation, and PETs

The core approach of AVATAR-Transfer is confirmed by the guidelines: under Article 89(1) GDPR, anonymised data should be given priority in research wherever the research purpose can be achieved using such data; otherwise, pseudonymised data should be preferred.
Directly identifying data may be processed only where this is necessary and proportionate. The EDPB also explicitly identifies privacy-enhancing technologies, secure processing environments, homomorphic encryption, and synthetic data as potential safeguards for research.⁹The precise legal and technical classification remains crucial: pseudonymised data remain personal data, synthetic data are not automatically anonymous, and the generation of anonymous or synthetic data from health data is itself a processing activity that requires legal justification.

6. Conclusion

The new EDPB guidelines confirm the fundamental approach of AVATAR-Transfer: health data can be made available for research and innovation when technical safeguards, legal assessment, and transparent governance are considered together. Data protection is therefore not merely a limitation on data use, but a prerequisite for responsible and trustworthy health data research.

Quellen

  1. AVATAR-Transfer, Projektbeschreibung, www.avatar-projekt.de; Liebenstein Law, AVATAR BMFTR-/BMBF-Projekt, www.liebenstein-law.de/avatar-bmbf-projekt/.
  2. European Data Protection Board (EDPB), Guidelines 1/2026 on processing of personal data for scientific research purposes, Konsultationsfassung vom 16.04.2026, öffentliche Konsultation bis 25.06.2026.
  3. Vgl. Erwägungsgrund 159 DSGVO sowie EPDB, Guidelines 1/2026, on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026,  Rn. 7; der EDSA verweist ausdrücklich auf technologische Entwicklung, Demonstration, Grundlagenforschung, angewandte Forschung, privat finanzierte Forschung und Forschung im öffentlichen Gesundheitsinteresse.
  4. EPDB, Guidelines 1/2026 on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, Rn. 5, 7, 9 und 11 f.; die Leitlinien betonen einen weiten, aber nicht grenzenlosen Forschungsbegriff und nennen sechs Leitindikatoren für echte wissenschaftliche Forschung
  5. EDPB Guidelines 1/2026 on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, Abschnitte zu Research Data Infrastructures und vorbereitenden Verarbeitungsschritten, Rn. 13 f. und Rn. 18; zu Forschungsdateninfrastrukturen, Repositorien, Datenbanken und vorbereitenden Verarbeitungsschritten.
  6. EDPB, Guidelines 1/2026, on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, zur Zweckkompatibilität wissenschaftlicher Weiterverarbeitung nach Art. 5 Abs. 1 lit. b DSGVO sowie zur gesonderten Prüfung von Art. 6 und Art. 9 DSGVO, insb. Rn. 19 ff., 24 ff.
  7. § 6 Abs. 1 bis 4 GDNG; die Norm erlaubt die Weiterverarbeitung rechtmäßig gespeicherter Versorgungsdaten für Qualitätssicherung, Patientensicherheit, medizinische, rehabilitative und pflegerische Forschung sowie Statistik und verlangt u. a. Pseudonymisierung, frühestmögliche Anonymisierung, Rechte- und Rollenkonzepte, Protokollierung und Transparenz.
  8. Vgl. Straub/Kowalski, Gesundheitsdatennutzungsgesetz und Digital-Gesetz unter der Lupe, Die Onkologie 2024, 735–743; der Beitrag hebt hervor, dass das GDNG erhebliches Potenzial für Forschung mit versorgungsnahen Daten hat, zugleich aber von konkreter Umsetzung, Strukturen und aufsichtsbehördlicher Handhabung abhängt.
  9. EDPB, Guidelines 1/2026, on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, zu Garantien nach Art. 89 DSGVO und Privacy-Enhancing Technologies, Rn. 170.

Publication date: 18.05.2026

Neue EDPB-Leitlinien: Bedeutung für AVATAR-Transfer


Der EDSA (Europäischer Datenschutzausschuss) hat im April neue Leitlinien für die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken angenommen. Liebenstein Law ordenet die Bedeutung dieser neuen Leitlinien für das AVATAR-Transfer Projekt ein.

Gesundheitsdaten können Forschung, Versorgung und Medizintechnik erheblich voranbringen. Gleichzeitig gehören sie zu den sensibelsten personenbezogenen Daten. AVATAR-Transfer setzt hier an und untersucht, wie Gesundheitsdaten durch Anonymisierung, synthetische Daten und weitere Verfahren datenschutzkonform nutzbar gemacht werden können.
Neue Orientierung bieten die Leitlinien 1/2026 des EDPB oder EDSA zur Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke. Die Konsultationsfrist für die Leitlinien läuft derzeit bis zum 25.06.2026 – dementsprechend kann der EDPB auf Stellungnahmen von Stakeholdern reagieren und die Leitlinien final anpassen.
Für AVATAR-Transfer sind nach aktuellem Stand drei Fragen im Zusammenhang mit der bisher veröffentlichten Fassung der Leitlinien zentral: Wann liegt wissenschaftliche Forschung vor? Wann dürfen vorhandene Gesundheitsdaten für neue Forschungsfragen weiterverwendet werden? Welche Garantien sind für eine verantwortungsvolle Nutzung sensibler notwendig?

1. Forschungsbegriff als Ausgangspunkt der Leitlinien

Die EDPB Guidelines 1/2026 ändern die DSGVO nicht, präzisieren aber erstmals konkret, wie personenbezogene Daten zu wissenschaftlichen Forschungszwecken verarbeitet werden dürfen.² Für AVATAR-Transfer ist entscheidend, dass der EDPB Forschung weit versteht und auch technologische Entwicklung, Demonstrationsvorhaben, angewandte Forschung, privat finanzierte Forschung und Forschung im öffentlichen Gesundheitsinteresse einbezieht.³
Zugleich stellt der EDPB klar: Nicht jede datengetriebene Produktentwicklung oder wirtschaftliche Datennutzung ist Forschung. Die forschungsbezogenen Erleichterungen der DSGVO greifen nur bei echter wissenschaftlicher Forschung.
Diese ist anhand von sechs Leitindikatoren zu bestimmen: methodischer und systematischer Ansatz, Einhaltung ethischer Standards, Verifizierbarkeit und Transparenz, Autonomie und Qualifikation der Forschenden, Beitrag zu Wissenszuwachs gesellschaftlichem Wohlergehen, Potenzial zur Erweiterung oder neuartigen Anwendung bestehenden Wissens.⁴
Neu ist somit insbesondere die größere Rechtssicherheit für anwendungsnahe, technische und transferorientierte Projekte. Für AVATAR-Transfer ist dies günstig, weil nicht nur medizinische Use Cases, sondern auch die Entwicklung und Validierung von Anonymisierung, Datensynthese, Privacy-Utility-Metriken, Re-Identifikationsanalysen, föderiertem Lernen und homomorpher Verarbeitung als Forschungsleistung eingeordnet werden können.
Jeder Transferfall sollte jedoch kurz dokumentieren, welche Forschungsfrage, Methode, ethischen Anforderungen, Überprüfbarkeit, Qualifikation und welcher Wissenszuwachs vorliegen.

Bei wirtschaftsnahen Use Cases bleibt die Abgrenzung zur Produktentwicklung zentral. Therapieverlaufsprognosen, ophthalmologische Rehabilitation, Biosignalanalyse oder Genomdatenanonymisierung lassen sich regelmäßig forschungsnah begründen. Post-Market-Surveillance ist dagegen nur dann Forschung, wenn neue datenschutzwahrende Verfahren zur Anonymisierung, Verschlüsselung oder statistischen Auswertung von PMS-Daten entwickelt oder validiert. Bloße Marktüberwachung genügt nicht.

2. Forschungsdateninfrastrukturen und vorbereitende Verarbeitungsschritte

Neu und für AVATAR-Transfer besonders wichtig ist außerdem, dass die Leitlinien nicht nur einzelne Forschungsprojekte erfassen, sondern auch Forschungsdateninfrastrukturen, Repositorien, Datenbanken und vorbereitende Verarbeitungsschritte. Damit können auch Datenkuratierung, Kategorisierung, Pseudonymisierung, Anonymisierung und Bereitstellung von Daten wissenschaftlichen Forschungszwecken dienen, wenn sie einem klaren Forschungsziel zugeordnet sind.⁵
Für AVATAR-Transfer bedeutet dies, dass nicht nur die medizinischen Use Cases, sondern auch die Plattformarchitektur, die Anonymisierungsservices, die Privacy-Utility-Evaluation, die Re-Identifikationsanalyse und die Datensynthese rechtlich als Bestandteile wissenschaftlicher Forschung eingeordnet werden können.

3. Sekundärnutzung wissenschaftlicher Forschungsdaten

Ebenfalls bedeutsam ist die Klarstellung zur Sekundärnutzung. Die Weiterverarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken gilt grundsätzlich als mit dem ursprünglichen Zweck vereinbar. Ein zusätzlicher Kompatibilitätstest nach Art. 6 Abs. 4 DSGVO ist dann nicht erforderlich.

Diese Erleichterung ist für Gesundheitsdatenräume und Sekundärdatennutzung zentral. Sie bedeutet aber nicht, dass die Verarbeitung automatisch rechtmäßig ist. Auch bei wissenschaftlicher Forschung braucht jede personenbezogene Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO und bei Gesundheitsdaten, genetischen Daten oder biometrischen Daten zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Im Rahmen des Projektes AVATAR-Transfer sollte deshalb für jeden Datenfluss dokumentiert werden, woher die Daten stammen, welchem Zweck sie ursprünglich dienten, welche neue Forschungsfrage verfolgt wird und welche rechtliche Grundlage einschlägig ist.⁶

4. § 6 GDNG und Art. 9 Abs. 2 lit. j DSGVO. Forschungsbegriff als Scharnier

Art. 9 Abs. 2 lit. j DSGVO erlaubt die Verarbeitung von Gesundheitsdaten für wissenschaftliche Forschungszwecke nur auf Grundlage von Unionsrecht oder mitgliedstaatlichem Recht und nur unter den Garantien des Art. 89 Abs. 1 DSGVO. § 6 GDNG ist eine solche nationale Regelung für datenverarbeitende Gesundheitseinrichtungen: 

Rechtmäßig gespeicherte Versorgungsdaten dürfen insbesondere für medizinische, rehabilitative und pflegerische Forschung weiterverarbeitet werden, sofern dies erforderlich ist und die gesetzlichen Schutzvorgaben eingehalten werden. Dazu gehören insbesondere Pseudonymisierung, frühestmögliche Anonymisierung, Rechte- und Rollenkonzepte, Protokollierung sowie Transparenz gegenüber den betroffenen Personen.⁷
Der Bezug zu den neuen EDPB-Leitlinien liegt im Forschungsbegriff. Für AVATAR-Transfer bedeutet dies: § 6 GDNG und Art. 9 Abs. 2 lit. j DSGVO können die Nutzung von Gesundheitsdaten nicht für beliebige technische oder wirtschaftliche Zwecke tragen.
Sie werden aber relevant, wenn die Verarbeitung nachvollziehbar in ein wissenschaftliches Forschungsdesign eingebettet ist, etwa zur Entwicklung, Validierung oder Bewertung von Anonymisierung, synthetischen Daten, Re-Identifikationsanalysen oder anderen datenschutzwahrenden Verfahren. Der jeweilige Use Case sollte daher kurz dokumentieren, welche Forschungsfrage verfolgt wird, warum die Datenverarbeitung erforderlich ist und welche Schutzmaßnahmen eingesetzt werden.⁸

5. Art.-89-Garantien: Anonymisierung, Pseudonymisierung und PET

Der Kernansatz von AVATAR-Transfer wird durch die Leitlinien bestätigt: Nach Art. 89 Abs. 1 DSGVO sind bei Forschung vorrangig anonymisierte Daten zu verwenden, soweit der Forschungszweck damit erreicht werden kann; andernfalls sind pseudonymisierte Daten vorzuziehen.
Direkt identifizierende Daten dürfen nur verarbeitet werden, wenn dies erforderlich und verhältnismäßig ist. Der EDPB nennt zudem ausdrücklich Privacy-Enhancing Technologies, sichere Verarbeitungsumgebungen, homomorphe Verschlüsselung und synthetische Daten als mögliche Garantien für Forschung.⁹
Entscheidend bleibt dabei die präzise rechtliche und technische Einordnung: Pseudonymisierte Daten bleiben personenbezogen, synthetische Daten sind nicht automatisch anonym, und die Herstellung anonymer oder synthetischer Daten aus Gesundheitsdaten ist selbst eine rechtfertigungsbedürftige Verarbeitung.

6. Fazit

Die neuen EDPB-Leitlinien bestätigen den Grundansatz von AVATAR-Transfer: Gesundheitsdaten können für Forschung und Innovation nutzbar gemacht werden, wenn technische Schutzmaßnahmen, rechtliche Prüfung und transparente Governance zusammen gedacht werden. Datenschutz ist damit nicht nur eine Grenze der Datennutzung, sondern eine Voraussetzung für verantwortungsvolle und vertrauenswürdige Gesundheitsdatenforschung.
 

Quellen

  1. AVATAR-Transfer, Projektbeschreibung, www.avatar-projekt.de; Liebenstein Law, AVATAR BMFTR-/BMBF-Projekt, www.liebenstein-law.de/avatar-bmbf-projekt/.
  2. European Data Protection Board (EDPB), Guidelines 1/2026 on processing of personal data for scientific research purposes, Konsultationsfassung vom 16.04.2026, öffentliche Konsultation bis 25.06.2026.
  3. Vgl. Erwägungsgrund 159 DSGVO sowie EPDB, Guidelines 1/2026, on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026,  Rn. 7; der EDSA verweist ausdrücklich auf technologische Entwicklung, Demonstration, Grundlagenforschung, angewandte Forschung, privat finanzierte Forschung und Forschung im öffentlichen Gesundheitsinteresse.
  4. EPDB, Guidelines 1/2026 on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, Rn. 5, 7, 9 und 11 f.; die Leitlinien betonen einen weiten, aber nicht grenzenlosen Forschungsbegriff und nennen sechs Leitindikatoren für echte wissenschaftliche Forschung
  5. EDPB Guidelines 1/2026 on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, Abschnitte zu Research Data Infrastructures und vorbereitenden Verarbeitungsschritten, Rn. 13 f. und Rn. 18; zu Forschungsdateninfrastrukturen, Repositorien, Datenbanken und vorbereitenden Verarbeitungsschritten.
  6. EDPB, Guidelines 1/2026, on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, zur Zweckkompatibilität wissenschaftlicher Weiterverarbeitung nach Art. 5 Abs. 1 lit. b DSGVO sowie zur gesonderten Prüfung von Art. 6 und Art. 9 DSGVO, insb. Rn. 19 ff., 24 ff.
  7. § 6 Abs. 1 bis 4 GDNG; die Norm erlaubt die Weiterverarbeitung rechtmäßig gespeicherter Versorgungsdaten für Qualitätssicherung, Patientensicherheit, medizinische, rehabilitative und pflegerische Forschung sowie Statistik und verlangt u. a. Pseudonymisierung, frühestmögliche Anonymisierung, Rechte- und Rollenkonzepte, Protokollierung und Transparenz.
  8. Vgl. Straub/Kowalski, Gesundheitsdatennutzungsgesetz und Digital-Gesetz unter der Lupe, Die Onkologie 2024, 735–743; der Beitrag hebt hervor, dass das GDNG erhebliches Potenzial für Forschung mit versorgungsnahen Daten hat, zugleich aber von konkreter Umsetzung, Strukturen und aufsichtsbehördlicher Handhabung abhängt.
  9. EDPB, Guidelines 1/2026, on processing of personal data for scientific research purposes, adopted version for public consultation, 15. April 2026, zu Garantien nach Art. 89 DSGVO und Privacy-Enhancing Technologies, Rn. 170.

Veröffentlichungsdatum: 18.05.2026